僵尸程序網(wǎng)絡(luò)行為分析及檢測(cè)方法研究.pdf

1、僵尸網(wǎng)絡(luò)是由多個(gè)被植入僵尸程序的主機(jī)構(gòu)成，它往往被用以發(fā)起大規(guī)模的網(wǎng)絡(luò)攻擊，同時(shí)被植入僵尸程序的主機(jī)，其信息也面臨被泄露的威脅。無(wú)論是網(wǎng)絡(luò)運(yùn)行安全還是用戶數(shù)據(jù)安全，僵尸網(wǎng)絡(luò)都是巨大的安全隱患！因此，有效的檢測(cè)僵尸程序已經(jīng)成為當(dāng)前網(wǎng)絡(luò)管理亟待解決的問(wèn)題。
　　 目前僵尸程序的檢測(cè)主要有基于行為特征的檢測(cè)技術(shù)和基于流量特征的檢測(cè)技術(shù)。基于行為特征的檢測(cè)技術(shù)能夠比較精確的檢測(cè)僵尸程序的活動(dòng)，但是處理數(shù)據(jù)的能力有限；而基于流量特征的檢測(cè)

2、技術(shù)能夠處理較大規(guī)模的數(shù)據(jù)量，但是存在較大的誤報(bào)?；诰W(wǎng)絡(luò)僵尸程序檢測(cè)方法能夠較好的結(jié)合這兩種檢測(cè)技術(shù)的優(yōu)點(diǎn)，有效地檢測(cè)在較大背景流量中活動(dòng)的僵尸程序。
　　 由于目前在僵尸程序代碼的設(shè)計(jì)上存在結(jié)構(gòu)化的特性，同一個(gè)僵尸網(wǎng)絡(luò)內(nèi)的僵尸主機(jī)行為和消息在時(shí)間和空間上都表現(xiàn)出了極大的關(guān)聯(lián)性和相似性。分析了僵尸程序的流特征，根據(jù)實(shí)驗(yàn)結(jié)果，設(shè)計(jì)出了基于輕量級(jí)有效載荷協(xié)議匹配算法。然后利用序列假設(shè)檢驗(yàn)算法對(duì)僵尸程序的網(wǎng)絡(luò)活動(dòng)進(jìn)行動(dòng)態(tài)的判定。

3、r>　　 基于以上分析，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)原型系統(tǒng)，系統(tǒng)主要包含了三個(gè)模塊：網(wǎng)絡(luò)流預(yù)處理模塊、基于輕量級(jí)有效載荷協(xié)議匹配模塊、序列假設(shè)檢驗(yàn)分析模塊。為了檢測(cè)網(wǎng)絡(luò)中的僵尸活動(dòng)，首先，網(wǎng)絡(luò)流預(yù)處理模塊對(duì)網(wǎng)絡(luò)流量進(jìn)行監(jiān)控分析，通過(guò)白名單技術(shù)過(guò)濾掉正常網(wǎng)絡(luò)流量；然后，使用基于輕量級(jí)有效載荷的識(shí)別方法檢測(cè)出疑似僵尸程序通訊的數(shù)據(jù)包；最后，通過(guò)序列假設(shè)檢驗(yàn)分析模塊識(shí)別僵尸程序的活動(dòng)。
　　 為了進(jìn)行驗(yàn)證，在局域網(wǎng)環(huán)境部署了多臺(tái)有僵尸程序活動(dòng)